Персональные данные покупателей — что включить в оферту

Введение

Интернет-магазин не может работать, не собирая персональные данные покупателей: имя, телефон, адрес доставки, электронная почта, а нередко и платёжные реквизиты — это тот минимум, без которого невозможно ни оформить заказ, ни довезти товар. Это означает, что любой онлайн-продавец автоматически приобретает статус «оператора персональных данных» со всем сопутствующим объёмом обязанностей. Между тем документы магазина — оферта, политика конфиденциальности, формы согласий — нередко составляются формально, и при первой же проверке Роскомнадзора или при споре с покупателем обнаруживается, что обработка ведётся без надлежащего основания, согласие «зашито» в текст оферты, а политика обработки данных отсутствует или не отвечает требованиям закона.

Цена такой небрежности в 2026 году заметно выросла. Размеры административных штрафов по ст. 13.11 КоАП РФ кратно увеличены, введена ответственность за неуведомление регулятора об инциденте и за утечку данных, а условия, ущемляющие права потребителя, по ст. 16 ЗоЗПП не только ничтожны, но и образуют состав правонарушения по ст. 14.8 КоАП РФ. Грамотно выстроенная архитектура согласий и оснований обработки — это уже не вопрос юридической эстетики, а вопрос управления реальным финансовым и репутационным риском.

Настоящий материал разбирает, что отразить в оферте и политике обработки персональных данных интернет-магазина: как определить правовое основание для каждой операции, чем договорное основание отличается от согласия, как оформить согласие на рассылки и cookies, какие сведения оператор обязан раскрыть покупателю и какие меры безопасности принять. Специалистам по защите данных он даёт системную карту норм, а владельцам и менеджерам магазинов — ориентиры для аудита собственного сайта.

Интернет-магазин как оператор персональных данных

Отправная точка — понятийный аппарат ст. 3 Закона № 152-ФЗ. «Персональные данные» — это любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу. Ключевое слово — «определяемому»: данные не обязаны содержать паспортные реквизиты, чтобы считаться персональными. Связка «телефон плюс адрес доставки», IP-адрес в сочетании с историей заказов, идентификатор устройства, привязанный к профилю, — всё это позволяет идентифицировать конкретного человека, а значит, подпадает под действие закона.

«Обработка» определяется предельно широко — это любое действие с данными: сбор, запись, систематизация, хранение, использование, передача, обезличивание, блокирование, удаление. Обработкой является не только внесение данных покупателя в базу, но и их хранение на сервере, передача курьерской службе и даже удаление по истечении срока. «Оператор» — лицо, которое организует и (или) осуществляет обработку и определяет её цели и состав. Магазин, решающий, какие поля заполняет покупатель и зачем, является оператором по определению.

Отсюда первый практический вывод: статус оператора возникает в силу факта обработки, а не регистрации. Освобождение от обязанности уведомлять Роскомнадзор закон предусматривает лишь для узких случаев (например, обработка исключительно для исполнения договора с субъектом, без передачи третьим лицам и без средств автоматизации), и магазин под них, как правило, не подпадает: он использует автоматизированные системы и передаёт данные перевозчикам и платёжным сервисам. Поэтому корректнее исходить из того, что онлайн-продавец обязан подать уведомление об обработке.

Правовые основания обработки: договор и согласие

Центральный принцип закона: обработка допускается только при наличии хотя бы одного из правовых оснований, перечисленных в ст. 6 Закона № 152-ФЗ. Это закрытый перечень — если ни одно основание неприменимо, обработка незаконна. Для магазина практическое значение имеют прежде всего два основания, и важно чётко их разграничивать: от выбора зависит, нужно ли получать согласие и можно ли его впоследствии отозвать.

Договорное основание

Главное для онлайн-торговли основание — обработка, необходимая для исполнения договора, стороной которого является субъект. Когда покупатель оформляет заказ, между ним и магазином заключается договор розничной купли-продажи; чтобы его исполнить, продавцу объективно нужны имя получателя, адрес и телефон для доставки, иногда — электронная почта для чека и уведомлений о статусе заказа. Обработка этих данных в указанных целях ведётся на договорном основании и отдельного согласия не требует: оно было бы избыточным, поскольку без передачи данных договор неисполним.

Договорное основание даёт оператору преимущество: пока договор действует и сохраняется обусловленная им цель, покупатель не вправе потребовать прекратить обработку данных, необходимых для исполнения обязательств. Но у основания жёсткая граница — оно покрывает только данные и операции, действительно нужные для исполнения конкретного договора. Использовать собранный при заказе телефон для рекламного обзвона нельзя: рассылка не входит в предмет купли-продажи и требует самостоятельного основания.

Согласие субъекта

Второе основание — согласие субъекта. Оно требуется во всех случаях, когда обработка выходит за пределы необходимого для исполнения договора или прямо разрешённого законом: для рекламных и маркетинговых сообщений, для cookies и аналитики, идентифицирующих посетителя, для передачи данных партнёрам в маркетинговых целях, для профилирования и таргетирования. Согласие — это инструмент легализации именно «добровольной» обработки, без которой основная услуга оказана быть может, но которая интересна оператору для развития бизнеса.

Практический алгоритм разграничения таков: по каждой операции оператор задаёт вопрос, необходима ли она для исполнения договора с покупателем. Если да — основанием служит договор, и операция описывается в оферте и политике как обязательная. Если нет — требуется отдельное согласие, оформленное так, чтобы покупатель мог дать его или отказать, не лишаясь возможности совершить покупку. Смешение режимов, когда добровольная обработка маскируется под обязательную, и порождает большинство нарушений.

Требования к согласию субъекта

Закон предъявляет к согласию строгие требования. Согласно статье 9 Федерального закона «О персональных данных», согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Конкретность означает, что согласие даётся в отношении определённых целей, а не «вообще»: формулировка «соглашаюсь на обработку в любых целях по усмотрению оператора» недопустима. Предметность требует ясности, какие категории данных обрабатываются. Информированность предполагает, что до получения согласия субъекту раскрыты установленные законом сведения: кто оператор, для каких целей собираются данные, какие действия с ними совершаются, кому передаются, каков срок обработки и порядок отзыва. Сознательность означает понимание существа согласия, однозначность — что оно выражено активным, недвусмысленным действием воли; молчание, бездействие или заранее проставленная «галочка» согласием не являются.

Из требования однозначности следует важнейшее правило: согласие не может оформляться через предварительно отмеченный чекбокс (opt-out) — покупатель должен сам поставить отметку. Кроме того, согласие на обработку, выходящую за пределы договора, оформляется отдельно от иных согласий и от акцепта оферты. Согласие на рекламные рассылки и согласие на cookies должны быть самостоятельными волеизъявлениями, а не входить «пакетом» в общее согласие с условиями, и их нельзя обусловливать совершением покупки.

Закон отдельно регулирует обработку в целях продвижения товаров, работ и услуг. По смыслу ст. 15 Закона № 152-ФЗ обработка для продвижения посредством прямых контактов допускается только при предварительном согласии субъекта, причём признаётся осуществляемой без согласия, если оператор не докажет обратное. Бремя доказывания согласия лежит на операторе — отсюда необходимость хранить доказательства его получения: журналы действий пользователя, отметки времени, версии текстов. Если магазин публикует отзывы покупателей с указанием имени или иных идентифицирующих данных, следует учитывать особый режим данных, разрешённых для распространения, требующий отдельного согласия (ст. 10.1 Закона № 152-ФЗ).

Момент дачи согласия и акцепт оферты

Механика онлайн-заказа выстроена на конструкции публичной оферты. Размещённое на сайте предложение, обращённое к неопределённому кругу лиц и содержащее существенные условия, является публичной офертой в смысле ст. 437 ГК РФ. Покупатель, оформляя и оплачивая заказ, акцептует её: по ст. 438 ГК РФ совершение лицом, получившим оферту, конклюдентных действий по выполнению её условий считается акцептом. С этого момента договор розничной купли-продажи считается заключённым.

Важно не смешивать два разных события. Акцепт оферты порождает договор и активирует договорное основание обработки данных, нужных для его исполнения. Но акцепт сам по себе не является согласием на обработку, выходящую за рамки договора, и не должен его подменять. Чтобы легализовать рассылки или cookie-аналитику, нельзя «считать» согласие данным в силу акцепта — требуется самостоятельное волеизъявление. На практике оформление заказа сопровождается, во-первых, ознакомлением с офертой и политикой обработки данных (фиксирует информированность и активирует договорное основание), а во-вторых — отдельными, не предотмеченными чекбоксами для добровольных согласий, которые покупатель волен оставить пустыми, завершив покупку.

Политика обработки персональных данных: обязательный документ

Наличие политики обработки персональных данных — прямая обязанность оператора. Согласно ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», оператор обязан принять необходимые и достаточные меры для выполнения своих обязанностей, и в числе таких мер закон называет издание документа, определяющего политику в отношении обработки данных. При сборе данных через сайт оператор обязан опубликовать этот документ или иным образом обеспечить к нему неограниченный доступ. Применительно к интернет-магазину политика конфиденциальности должна быть доступна по постоянной ссылке, открытой до момента, когда посетитель вводит свои данные.

Та же статья требует назначить ответственного за организацию обработки, применять меры защиты, вести внутренний контроль соответствия, оценивать возможный вред субъектам и знакомить работников, осуществляющих обработку, с требованиями законодательства и локальными актами. Политика — публичная «вершина» этой системы, но за ней должен стоять реальный комплекс внутренних процедур.

Содержательно политика должна корреспондировать со сведениями, которые оператор в любом случае обязан довести до субъекта. Их перечень установлен ст. 18 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»: наименование и адрес оператора; цель обработки и её правовое основание; категории данных и источники их получения; сведения о лицах, имеющих доступ к данным или которым они могут быть переданы; сроки обработки и хранения; порядок реализации субъектом своих прав; при необходимости — информация о трансграничной передаче и о лице, обрабатывающем данные по поручению. По существу, политика интернет-магазина должна давать посетителю исчерпывающие ответы именно на эти вопросы, изложенные ясным языком.

Структуру политики целесообразно выстраивать с учётом рекомендаций Роскомнадзора по составлению документа, определяющего политику оператора. Регулятор последовательно указывает на необходимость отражать правовые основания и цели обработки, перечень категорий субъектов и данных, описание мер защиты, сроки обработки, порядок передачи данных третьим лицам и механизм реагирования на обращения субъектов. Ориентир на эти рекомендации снижает риск претензий: политика, выстроенная по логике регулятора, воспринимается как добросовестное исполнение обязанности, а не формальная отписка.

Цели обработки и принцип минимизации

Один из системообразующих принципов закона: содержание и объём обрабатываемых данных должны соответствовать заявленным целям и не быть избыточными. Этот принцип минимизации прямо определяет, какие поля вправе сделать обязательными магазин. Если цель — оформление и доставка заказа, необходимыми являются имя получателя, телефон, адрес доставки и, при дистанционной оплате, платёжные реквизиты; запрашивать же дату рождения, семейное положение или паспортные данные (кроме случаев, когда они объективно требуются, например для отдельных категорий товаров или для возврата) — значит выходить за пределы цели и нарушать принцип минимизации.

Минимизация требует также, чтобы для разных целей данные собирались раздельно и не объединялись в единый массив без основания. Цели должны быть конкретными, заранее определёнными и законными; обработка, несовместимая с целями сбора, не допускается. Поэтому магазин ещё при проектировании форм должен описать перечень целей (исполнение договора и доставка; бухгалтерский и налоговый учёт; рассмотрение обращений; при наличии согласия — маркетинг и аналитика) и для каждой определить минимальный набор данных и срок хранения. Данные, цель обработки которых достигнута, по общему правилу подлежат уничтожению или обезличиванию.

Локализация баз данных и трансграничная передача

Особое требование закона касается территории обработки данных российских граждан. При сборе данных, в том числе через сайт, оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение данных граждан Российской Федерации с использованием баз данных, находящихся на территории России. Это требование локализации: первичная база с данными покупателей-россиян должна физически размещаться на серверах в России. Использование зарубежного хостинга или иностранных облачных сервисов как основного хранилища это требование нарушает.

Локализация не запрещает трансграничную передачу как таковую, но обставляет её самостоятельными условиями. Передача данных на территорию иностранного государства регулируется статья 12 Закона № 152-ФЗ; до начала такой передачи оператор обязан уведомить уполномоченный орган о намерении её осуществлять и убедиться в наличии установленных законом условий, а в ряде случаев — получить согласие субъекта. Для магазина это значимо, если он использует иностранные сервисы рассылок, аналитики или платёжные шлюзы, через которые данные фактически уходят за рубеж. Подход должен быть осмотрительным: сначала локализация первичной базы в России, и лишь затем — при наличии оснований и с соблюдением уведомительной процедуры — любая передача за пределы страны.

Права субъекта и порядок их реализации

Закон наделяет покупателя как субъекта персональных данных широким набором прав, и политика магазина должна описывать порядок их реализации. Перечень и содержание этих прав закреплены в ст. 14 Закона № 152-ФЗ. Субъект имеет право на получение информации об обработке его данных: подтверждение факта обработки, её основания и цели, состав данных и источник их получения, сроки, сведения о лицах, которым данные передаются. Он вправе требовать уточнения данных, если они неполны, неточны или устарели, а также их блокирования или уничтожения, если обработка незаконна или данные более не нужны.

Ключевое для магазина право — отозвать согласие на обработку. Поскольку согласие на рассылки и cookie-аналитику даётся добровольно, покупатель в любой момент может его отозвать, и оператор обязан прекратить соответствующую обработку (кроме случаев, когда сохраняется иное основание, например обязанность хранить данные по законодательству о бухгалтерском учёте). Технически в каждом рекламном письме должна быть рабочая ссылка для отписки, а на сайте — понятный механизм отзыва согласий и обращения к оператору. Оператор обязан рассмотреть обращение субъекта в установленный законом срок; игнорирование таких обращений само образует нарушение.

Меры безопасности и конфиденциальность

Сбор данных порождает обязанность их защищать. По ст. 19 Закона № 152-ФЗ оператор обязан принимать необходимые правовые, организационные и технические меры для защиты данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления и распространения. Состав мер зависит от уровня защищённости, определяемого характером данных и актуальными угрозами; для магазина типичный набор включает шифрование каналов передачи, разграничение прав доступа сотрудников, ведение журналов, резервное копирование и применение средств защиты, прошедших установленную оценку соответствия.

Наряду с техническими мерами закон устанавливает требование конфиденциальности: лица, получившие доступ к данным, обязаны не раскрывать их третьим лицам и не распространять без согласия субъекта, если иное не предусмотрено законом. Это требование распространяется на всех, кто работает с данными, — от штатных сотрудников до подрядчиков. Если магазин привлекает третье лицо к обработке (сторонний колл-центр, фулфилмент-оператора, сервис рассылок), такая передача оформляется поручением на обработку, где определяются перечень действий, цели обработки и обязанность соблюдать конфиденциальность и безопасность. Ответственность перед субъектом за действия лица, обрабатывающего данные по поручению, несёт сам оператор.

Cookies и веб-аналитика как обработка данных

Отдельного внимания заслуживают cookie-файлы и инструменты веб-аналитики. Строго технические cookie, обеспечивающие работу сайта (например, хранение содержимого корзины в рамках сессии), не всегда содержат персональные данные. Но значительная часть cookie и идентификаторов, используемых для аналитики, ретаргетинга и профилирования, позволяет прямо или косвенно идентифицировать человека — особенно в сочетании с другими данными оператора. Как только cookie начинает выполнять функцию идентификации субъекта, связанная с ним информация становится персональными данными, а её обработка подпадает под действие закона.

Поэтому для cookie и аналитики, идущих дальше строго необходимых для функционирования сайта, требуется самостоятельное согласие — отдельное и от акцепта оферты, и от согласия на рассылки. Реализуется это через информационный баннер при первом посещении, который не использует предотмеченные согласия и позволяет отказаться от необязательных категорий cookie, продолжив пользоваться сайтом. Параллельно политика (или отдельная политика в отношении cookie) должна раскрывать перечень используемых категорий, цели их использования и срок хранения.

Рекламные рассылки и двойное подтверждение

Рассылка сообщений рекламного характера — по электронной почте, в мессенджерах, через push-уведомления или по сетям связи — регулируется не только законодательством о персональных данных, но и ст. 18 Федерального закона «О рекламе». По этой норме распространение рекламы по сетям электросвязи допускается только при предварительном согласии абонента или адресата; реклама признаётся распространённой без согласия, если рекламораспространитель не докажет, что согласие было получено. Для рекламных рассылок действует двойной правовой барьер: согласие на обработку данных в целях продвижения по закону о персональных данных и согласие на получение рекламы по закону о рекламе.

Чтобы надёжно подтвердить наличие согласия, на практике применяется механизм двойного подтверждения (double opt-in): после того как посетитель оставил адрес и выразил желание получать рассылку, на этот адрес направляется письмо со ссылкой подтверждения, и подписка активируется только после перехода по ней. Так оператор получает доказательство, что согласие дал именно владелец адреса, а не третье лицо. Прямо законом double opt-in не предписан, но именно он формирует ту доказательственную базу, на которую опирается норма о рекламе, возлагающая бремя доказывания на рекламораспространителя. Каждое рекламное сообщение, кроме того, должно содержать рабочую ссылку для отказа от дальнейших рассылок.

Реагирование на инциденты и уведомление регулятора

Современная редакция закона требует от оператора не только предотвращать утечки, но и правильно действовать, если инцидент произошёл. При выявлении неправомерной или случайной передачи данных, повлёкшей нарушение прав субъектов (в том числе при утечке), оператор обязан уведомить уполномоченный орган по защите прав субъектов персональных данных. Уведомление направляется в установленный законом срок и должно содержать сведения об обстоятельствах инцидента, предполагаемых причинах и вреде, принятых мерах и о лице, уполномоченном на взаимодействие с регулятором; впоследствии оператор представляет результаты внутреннего расследования.

Отсюда необходимость заранее иметь внутренний регламент реагирования: порядок выявления и фиксации инцидентов, круг ответственных лиц, шаблоны уведомлений, каналы взаимодействия с регулятором. Реагирование — процесс с жёсткими сроками, импровизировать в момент уже произошедшей утечки недопустимо. Конкретные числовые сроки следует проверять по действующей на момент инцидента редакции закона; практический вывод в том, что реагировать нужно незамедлительно и в строгом соответствии с установленными законом сроками, а своевременность уведомления и проведённого расследования существенно влияет на оценку добросовестности оператора.

Ответственность за нарушения

Ответственность за нарушения в области персональных данных сосредоточена в ст. 13.11 КоАП РФ. Эта статья дифференцирует составы: обработка в случаях, не предусмотренных законом, либо несовместимая с целями сбора; обработка без согласия, когда оно обязательно; невыполнение обязанности опубликовать политику или обеспечить к ней доступ; неуведомление субъекта или регулятора в установленных случаях; нарушение требований к безопасности; неисполнение обязанности уведомить об инциденте. Размеры штрафов, в том числе для юридических лиц, в действующей редакции существенно повышены, а за повторные нарушения и за утечку значительных объёмов данных предусмотрены наиболее строгие санкции. Это переводит соблюдение требований из плоскости формального комплаенса в плоскость прямого финансового риска оператора.

Параллельно действует ответственность в потребительской плоскости. Если магазин обусловливает покупку обязательным согласием на обработку данных в маркетинговых целях или иным образом навязывает условие, не относящееся к предмету договора, такое условие ущемляет права потребителя и в силу ст. 16 ЗоЗПП недействительно. Более того, включение в договор условий, ущемляющих права потребителя, образует состав правонарушения по ст. 14.8 КоАП РФ, а при обмане потребителя относительно условий — по ст. 14.7 КоАП РФ. «Зашитое» в оферту скрытое согласие на рассылки опасно вдвойне: оно нарушает одновременно законодательство о персональных данных и о защите прав потребителей.

Связь с обязательной информацией для потребителя

Регулирование персональных данных встроено в более широкий контур обязанностей онлайн-продавца перед потребителем. Закон о защите прав потребителей требует своевременно предоставлять покупателю необходимую и достоверную информацию о товарах и о продавце. Право на информацию закреплено в ст. 8 Закона о защите прав потребителей, а перечень сведений, доводимых до потребителя, — в ст. 10 Закона о защите прав потребителей. Для магазина это значит, что на сайте до заключения договора должны быть размещены сведения о продавце, о товаре, о цене и порядке оплаты, о сроках и условиях доставки, а также о порядке и сроках возврата.

Документы о персональных данных и потребительская информация образуют единый информационный слой сайта: покупатель, оформляя заказ, одновременно знакомится и с условиями продажи, и с тем, как будут обрабатываться его данные. Грамотная оферта связывает эти блоки логически — описывает предмет и порядок заключения договора, отсылает к политике обработки данных как к неотъемлемой части информационного обеспечения сделки и чётко отделяет обязательную для исполнения договора обработку от добровольных маркетинговых коммуникаций.

Практические рекомендации: что должно быть на сайте

На сайте интернет-магазина должен присутствовать согласованный комплект документов и интерфейсных решений. Во-первых, политика обработки персональных данных — публичный документ по постоянной ссылке, отвечающий требованиям закона к составу сведений (оператор, цели и основания обработки, категории данных и субъектов, сроки, порядок передачи третьим лицам, меры защиты, порядок реализации прав субъекта). Во-вторых, форма (текст) согласия на обработку данных для операций, выходящих за пределы исполнения договора, оформленная как самостоятельное волеизъявление. В-третьих, отдельные, не предотмеченные чекбоксы для добровольных согласий — на рекламные рассылки и на cookie-аналитику, каждый из которых покупатель волен оставить пустым, завершив покупку.

Архитектуру согласий следует выстраивать так, чтобы обязательная и добровольная обработка были визуально и юридически разделены. Ознакомление с офертой и политикой обработки данных фиксирует информированность покупателя и активирует договорное основание для данных, нужных для исполнения заказа; этот блок оформляется как обязательное подтверждение ознакомления. Добровольные согласия выносятся в отдельные пункты с самостоятельными чекбоксами, снятие которых не препятствует оформлению заказа. Категорически недопустимо «зашивать» согласие на рассылки или передачу данных партнёрам в текст оферты или в единый чекбокс «согласен со всем»: такая конструкция нарушает требование об отдельном оформлении согласия и об однозначности волеизъявления и одновременно ущемляет права потребителя.

Наконец, документы должны подкрепляться внутренними процедурами и доказательственной базой. Оператору следует назначить ответственного за организацию обработки, утвердить внутренние акты о мерах защиты и о реагировании на инциденты, оформить поручения на обработку со всеми подрядчиками, которым передаются данные, и хранить технические доказательства получения согласий (журналы, отметки времени, версии текстов). При построении политики и форм согласий разумно опираться на разъяснения и рекомендации Роскомнадзора. Документ, выстроенный по этой логике и подкреплённый реальными процедурами, существенно снижает вероятность и претензий регулятора, и потребительских споров.